다음 문장에서 설명하는 시스템 보안평가 기준은?보안제품 개발자에게 제공… | [정보보안기사 필기] 22년 2회차 기출문제 상세 페이지
1[정보보안기사 필기] 22년 2회차
다음 문장에서 설명하는 시스템 보안평가 기준은?
- 보안제품 개발자에게 제공되어야 할 서비스에 대한 지침을 제시한다.
- 구매자에게는 필요한 서비스 지침을 제공한다.
- 기능성과 보증성에 대한 요구사항으로 구성된다.
- 기능은 비밀성, 무결성, 가용성, 책임성 4가지로 분류된다.
- 보증 평가등급은 7개 등급으로 분류된다.
1
TCSEC
2
ITSEC
3
CTCPEC
4
CC
해설
지문의 평가기준은 CTCPEC(캐나다 신뢰 컴퓨터 제품 평가기준)이다.
결정적 단서는 기능을 비밀성·무결성·가용성·책임성 4가지로 분류한다는 대목이다. 미국 TCSEC과 유럽 ITSEC을 참조해 만든 이 기준은 기능성 요구사항을 이 네 범주로 나누고 보증성 요구사항을 별도 등급(지문에서는 7개 등급)으로 두어, 개발자에게는 제품이 제공해야 할 서비스 지침을, 구매자에게는 제품 선택에 필요한 지침을 제시한다.
다른 기준과의 차이는 다음과 같다.
- TCSEC(오렌지북)은 기밀성 중심의 단일 등급 체계(D~A1)로 기능성과 보증성을 나누지 않는다.
- ITSEC은 기능성과 보증성을 분리해 평가하지만 기능을 위 네 범주로 정의하지 않고 사전 정의된 기능 클래스를 사용한다.
- CC는 앞의 기준들을 통합한 국제표준으로 EAL 등급과 보호프로파일(PP)·보안목표명세서(ST) 체계를 쓴다.
내용에 오류가 있거나 최신 법령·기준과 다른 부분이 보이면 알려주세요. 확인 후 반영하겠습니다.